Die EUDI-Wallet wird in der EU Pflichtinfrastruktur. Bis Ende 2026 muss jeder Mitgliedstaat eine staatliche Wallet bereitstellen, ab dem 24. Dezember 2027 müssen Banken, Zahlungsinstitute und E-Money-Anbieter sie akzeptieren. Die Akzeptanzpflicht reicht vom Onboarding bis ins Backoffice und trifft vier Use-Case-Cluster gleichzeitig. Drei Viertel davon liegen außerhalb des klassischen Onboarding-Szenarios. Jenseits der Pflicht eröffnet die Wallet zusätzlich drei strategische Geschäftschancen: die Issuer-Rolle der Bank für Konto- und Bonitätsnachweise, die IBAN-Tokenisierung im Checkout und der digitale Mitarbeitendenausweis gegen impersonation fraud. Dieses Whitepaper ordnet die Pflicht ein und entwickelt drei priorisierte Handlungsempfehlungen für die verbleibende Zeit.
Einleitung
In den Roadmaps vieler Banken und Zahlungsdienstleister in DACH taucht die EUDI-Wallet bisher selten als eigenes Thema auf. Wenn doch, dann fast immer reduziert auf das eine Onboarding-Szenario. Die Akzeptanzpflicht aus Artikel 5f trifft allerdings das gesamte Haus, nicht nur den digitalen Eigenkanal. Sie greift in jede Identifizierungs- und Authentifizierungsstrecke vom Schalter bis ins Backoffice, und sie kommt mit AMLR und PSD3/PSR gemeinsam in einem schmalen Zeitfenster.
Am 24. Dezember 2027 müssen Banken, Zahlungsinstitute und E-Money-Anbieter in der EU eine digitale Wallet als Identifizierungs- und Authentifizierungsmittel akzeptieren, die heute sieben von zehn Bürgerinnen und Bürgern in Deutschland nicht oder kaum bekannt ist. Die regulatorische Grundlage ist klar. Die Verordnung (EU) 2024/1183 ist am 20. Mai 2024 in Kraft getreten und verpflichtet jeden Mitgliedstaat, bis Ende 2026 mindestens eine staatliche oder staatlich anerkannte EUDI-Wallet bereitzustellen. Ab dem 24. Dezember 2027 müssen private Akteure in regulierten Sektoren die Wallet auf Nutzerwunsch akzeptieren. Banken, Zahlungsinstitute und E-Money-Anbieter sind in Artikel 5f der Verordnung namentlich erfasst.
Hinzu kommt, dass mit der neuen EU-Geldwäscheverordnung (AMLR) ab Juli 2027 und dem laufenden Verfahren zu PSD3 und PSR zwei weitere Regulierungen anwendbar werden, die unmittelbar auf Identifizierung und starke Kundenauthentifizierung wirken. Die drei Werke betreffen dieselben Prozesse, greifen technisch ineinander und treffen Finanzdienstleistungsanbieter in einem schmalen Zeitfenster.
Damit verbleiben aus heutiger Sicht netto etwa 18 Monate, um die EUDI-Wallet in die eigenen Identifizierungs-, Authentifizierungs- und Onboarding-Strecken einzubinden. Dieses Whitepaper ordnet die Wallet in den DACH-Kontext ein, beschreibt die Akzeptanzpflicht und ihre Schnittstellen zu AMLR und PSD3 und formuliert drei Handlungsempfehlungen für die verbleibende Zeit. Es setzt bewusst dort Schwerpunkte, wo der typische EUDI-Diskurs zu kurz kommt: Die weniger offensichtlichen Use-Case-Strecken, die Verbund-Strukturen in DACH und die drei Geschäftschancen, die jenseits der Pflicht den eigentlichen Mehrwert tragen.
Die EUDI-Wallet wird ab 2027 Pflichtinfrastruktur
Drei Funktionen in einer App: Identität, Signatur, Nachweise
Die European Digital Identity Wallet (EUDI-Wallet) ist eine vom jeweiligen Mitgliedstaat bereitgestellte oder mandatierte mobile Anwendung. Sie bündelt drei Funktionsbereiche, die bisher in getrennten Systemen lagen: ein hoheitlich ausgestelltes Person-Identification-Data-Element (PID) auf eIDAS-Sicherheitsniveau „high“, qualifizierte elektronische Signaturen und Siegel mit EU-weiter rechtlicher Wirkung sowie verifizierte Nachweise (Electronic Attestations of Attributes, EAA) wie Führerschein, Versicherungsausweis oder Kontoinhaberschaftsnachweis. Aus Nutzersicht bleibt die Wallet freiwillig. Wer keine Wallet verwenden möchte, behält den Zugang zu allen Dienstleistungen über die bisherigen Identifizierungsverfahren.
Finanzdienstleistungsanbieter treten als Relying Party auf
Für Finanzdienstleistungsanbieter ist die Rolle der Wallet Relying Party (RP) zentral. In praktisch jedem nutzergetriebenen Szenario, das Identifizierung oder starke Authentifizierung verlangt, treten sie als RP auf. Voraussetzung ist die Eintragung in einem nationalen Register als Wallet Relying Party samt transparenter Angabe der beabsichtigten Verwendungszwecke; nach erfolgreicher Registrierung führen sie Zugangs- und Registrierungszertifikate, die die Wallet bei jeder Anfrage kryptografisch prüft. Personenbezogene Daten verbleiben auf dem Smartphone des Nutzers; eine Profilbildung durch staatliche Stellen ist im Architecture and Reference Framework technisch ausgeschlossen. Banken können zusätzlich selbst Issuer werden, etwa für Kontoinhaberschafts- oder Bonitätsattestate. Auf diese Rolle gehen die Handlungsempfehlungen am Ende zurück, weil sie über die reine Pflicht hinausreicht.
DACH bewegt sich auf drei parallelen Spuren
Deutschland setzt auf eine staatlich orchestrierte Lösung. Die Bundesagentur für Sprunginnovationen (SPRIND) baut im Auftrag des Bundesministeriums für Digitales und Staatsmodernisierung (BMDS) die staatliche Wallet, die ab dem 2. Januar 2027 verfügbar sein soll. Der nationale Rechtsrahmen wird mit dem Digitale-Identitäten-Gesetz (DIdG) konkretisiert, dessen Referentenentwurf am 26. März 2026 in die Länder- und Verbändeanhörung gegeben wurde. Parallel betreibt SPRIND seit Anfang 2026 eine öffentlich zugängliche Sandbox, in der Unternehmen Identifizierung und EAA-Prozesse testen können. Bitkom, das BMDS und über 100 Unternehmen haben Anfang 2026 ein Memorandum of Understanding zur erfolgreichen Einführung der Wallet unterzeichnet, zu dessen Unterzeichnern unter anderem Deutsche Bank, Mastercard, N26, SAP, IDnow und die Bundesdruckerei zählen.
Österreich verfügt mit ID Austria und der eAusweise-App über eine bereits weitgehend EUDI-konforme Infrastruktur. Das österreichische Bundesministerium für Finanzen hat 2024 öffentlich darauf hingewiesen, dass Österreich für die EUDI-Wallet startklar sei und ID Austria die Mehrheit der EUDIW-Funktionen bereits erfüllt. Eine vollständige Konvergenz auf die EUDIW-Spezifikationen ist eingeleitet, ein endgültiger Termin für die EUDI-konforme Wallet wurde Stand Frühjahr 2026 noch nicht öffentlich genannt.
Die Schweiz ist als Nicht-EU-Mitglied von eIDAS 2.0 formal nicht verpflichtet, geht jedoch einen konzeptionell kompatiblen Weg. Das Bundesgesetz über den elektronischen Identitätsnachweis (BGEID) wurde am 28. September 2025 mit knapper Mehrheit von 50,39 Prozent in einer Volksabstimmung angenommen. Die Schweizer Wallet swiyu befindet sich seit April 2025 im öffentlichen Testbetrieb, der reguläre Rollout startet ab Sommer 2026 und die E-ID kann ab Dezember 2026 kostenlos über swiyu bestellt werden. Eine vollständige technische Interoperabilität mit der EUDI-Wallet besteht Stand Frühjahr 2026 noch nicht, ist aber konzeptionell angelegt. Für DACH-PSPs mit Geschäft in der Schweiz heißt das, dass swiyu auf absehbare Zeit als eigene Strecke parallel zur EUDI-Wallet einzuplanen ist.
Der regulatorische Fahrplan läuft auf den 24. Dezember 2027 zu
Die Verordnung (EU) 2024/1183 ist am 20. Mai 2024 in Kraft getreten und legt den europäischen Rahmen für die Bereitstellung und Akzeptanz der Wallet. Am 28. November 2024 verabschiedete die EU-Kommission fünf zentrale Durchführungsrechtsakte, die nach Veröffentlichung im Amtsblatt am 24. Dezember 2024 in Kraft traten. Damit ist die Uhr für drei verbindliche Stichtage offiziell angelaufen. Abbildung 1 stellt die Meilensteine im Überblick dar.
Der erste Stichtag betrifft die Bereitstellung. Spätestens 24 Monate nach Inkrafttreten der Durchführungsrechtsakte, also bis Ende 2026, muss jeder Mitgliedstaat mindestens eine zertifizierte EUDI-Wallet bereitstellen. Deutschland setzt diesen Stichtag mit dem Wallet-Launch am 2. Januar 2027 um, andere Mitgliedstaaten gehen ähnlich vor.
Die Akzeptanzpflicht reicht vom Onboarding bis ins Backoffice
In den meisten Banken und Zahlungsdienstleistern in DACH liegt die EUDI-Wallet bisher überwiegend bei IAM oder Information Security. Eine vollständige Use-Case-Inventur über alle Identifizierungs- und Authentifizierungsstrecken hinweg ist selten zu sehen; adressiert sind in der Regel das Neukunden-Onboarding und der Online-Banking-Login. Die folgenden Abschnitte machen sichtbar, was eine reine IT-Sicht typischerweise außerhalb des Sichtfelds lässt.
Artikel 5f kennt fast keine Ausnahmen
Die EUDI-Akzeptanzpflicht erfasst praktisch jeden DACH-Finanzdienstleister; eine Ausnahme gilt nur für Mikro- und Kleinunternehmen mit unter 50 Beschäftigten.
Artikel 5f der eIDAS-2.0-Verordnung kennt zwei Akzeptanzpflichten. Absatz 1 verpflichtet ab dem 1. Januar 2027 den öffentlichen Sektor: Behörden und öffentliche Stellen müssen die EUDI-Wallet überall dort akzeptieren, wo sie heute eine elektronische Identifizierung mit starker Authentifizierung verlangen. Die für Finanzdienstleistungsanbieter zentrale Norm ist Absatz 2.
Die Schlüsselnorm für die private Akzeptanzpflicht ist Artikel 5f Absatz 2. Erfasst sind private Wallet Relying Parties, die Dienstleistungen erbringen, bei denen nach Unions- oder nationalem Recht oder aufgrund vertraglicher Pflicht eine starke Nutzerauthentifizierung für die Online-Identifizierung verlangt wird. Die Verordnung benennt die betroffenen Sektoren namentlich. Dazu zählen Banken und Finanzdienstleistungen, Verkehr, Energie, Telekommunikation, Gesundheit, digitale Infrastruktur und weitere kritische Sektoren.
Für Finanzdienstleistungsanbieter heißt das konkret, dass praktisch alle in DACH aktiven Universalbanken, Direktbanken, Sparkassen, Genossenschaftsbanken, Zahlungsinstitute mit Lizenz nach Zahlungsdiensteaufsichtsgesetz und E-Money-Anbieter erfasst sind. Aus dem Geltungsbereich ausgenommen sind nur Mikro- und Kleinunternehmen mit weniger als 50 Beschäftigten und höchstens 10 Millionen Euro Jahresumsatz oder Bilanzsumme. Für die meisten Akteure im DACH-Markt greift diese Ausnahme nicht.
Die Pflicht greift erst dann, wenn der Nutzer die Wallet aktiv einsetzt. Finanzdienstleistungsanbieter müssen die Wallet im eigenen Frontend weder bewerben noch als Standard-Identifizierungsoption präsentieren. Sobald ein Kunde die Wallet jedoch vorlegt, hat er einen Anspruch auf Akzeptanz durch das jeweilige regulierte Institut. Die Wahlfreiheit der Nutzer ist in der Verordnung ausdrücklich geschützt. Die Sanktionsfolgen werden auf nationaler Ebene konkretisiert. Im deutschen Referentenentwurf zum DIdG sind entsprechende Befugnisse der nationalen Aufsicht vorgesehen, in Österreich ergibt sich die Zuständigkeit der FMA, in der Schweiz greift das eigenständige BGEID-Regime. Strukturell orientiert sich die EU-Linie an anderen Digitalregulierungen wie der DSGVO mit wirksamen, verhältnismäßigen und abschreckenden Sanktionen.
AMLR, PSD3 und eIDAS greifen ineinander
Drei Regulierungen wirken im selben Zeitfenster auf Identifizierung und Authentifizierung; ein sauber gebauter Wallet-Stack erfüllt sie in einem Vorgang.
Die EUDI-Wallet steht regulatorisch nicht allein. Sie trifft auf zwei weitere große Regelungswerke, die im selben Zeitraum wirksam werden. Die neue EU-Geldwäscheverordnung (AMLR) ist ab Juli 2027 anwendbar und verlangt EU-konforme Identifizierungsmethoden im Rahmen der Sorgfaltspflichten. eIDs, EUDI-Wallets und qualifizierte Vertrauensdienste werden ausdrücklich als geeignete Instrumente genannt. Für Banken bedeutet dies, dass die Wallet zum europaweit harmonisierten KYC-Instrument wird und die bisherigen nationalen Identifizierungsverfahren wie PostIdent oder VideoIdent in Deutschland zwar weiter bestehen können, aber dauerhaft an Bedeutung verlieren werden.
Parallel werden mit der Payment Services Regulation (PSR) und der dritten Zahlungsdiensterichtlinie (PSD3) die Anforderungen an die starke Kundenauthentifizierung erweitert. Das Zwei-Faktor-Prinzip bleibt bestehen, Anwendungsbereich und technische Anforderungen werden jedoch ausgebaut. Die Wallet wird in diesem Kontext zur europäisch standardisierten dritten Säule der starken Kundenauthentifizierung neben SMS-OTP und App-basierten Verfahren. Marktteilnehmer wie Signicat, Lissi und walt.id beschreiben sie schon heute als plausiblen Standardweg für SCA in den kommenden Jahren.
Eine isolierte Kalkulation des Implementierungsaufwands für AMLR, PSR und eIDAS 2.0 unterschätzt damit das Bild. Eine qualifizierte Wallet-Credential erfüllt KYC-Pflichten nach AMLR, kann eine SCA gemäß PSR auslösen und genügt zugleich als Identifizierungsmittel im Sinne von eIDAS 2.0. Ein sauber aufgesetzter Wallet-Stack adressiert damit drei Regulierungen in einem Vorgang.
Neben der regulatorischen Konvergenz wirkt eine zweite, organisatorisch oft unterschätzte Konvergenz auf die Häuser. Identifizierung, Authentifizierung, Credentialing und Zahlungsabwicklung sind in Banken über Jahre als getrennte Disziplinen organisiert worden, mit eigenen Product Ownern, eigenen Compliance-Teams und eigenen Tech-Stacks. Mit der EUDI-Wallet fließen diese vier Domänen in eine einzige Interaktionsschleife zusammen. Eine Identifizierung aus der Wallet liefert zugleich eine starke Authentifizierung, kann unmittelbar einen verifizierten Nachweis ergänzen und im selben Schritt eine Zahlung autorisieren. Das gilt unabhängig von der Regulierung und stellt die in vielen Häusern gewachsene Trennung zwischen Identitäts-, Authentifizierungs-, Credential- und Payment-Funktionen in Frage.
Vier Use-Case-Cluster bilden das Pflichtspektrum
Der Kundenkontakt verteilt sich auf den digitalen Eigenkanal, die Zahlungsautorisierung, Filiale und Backoffice sowie eine vierte Gruppe weniger offensichtlicher Strecken.
Die Akzeptanzpflicht aus Artikel 5f differenziert nicht zwischen einzelnen Anwendungsfällen. Sie gilt überall dort, wo eine starke Kundenauthentifizierung oder eine geldwäscherechtliche Identifizierung erforderlich ist. In einer Universalbank oder einem PSP betrifft das in der Praxis vier Use-Case-Cluster: den digitalen Eigenkanal, die Autorisierung von Zahlungen und Transaktionen, Filiale, Telefon-Service und Backoffice sowie eine Reihe weniger offensichtlicher Strecken, die in heutigen Roadmaps selten erscheinen. Abbildung 2 fasst die vier Cluster mit konkreten Beispielen aus dem Bankenalltag zusammen.
Die folgenden Abschnitte gehen die vier Cluster in der Reihenfolge der Grafik durch und behandeln den vierten Cluster bewusst am Ende, weil dort der größte Mehrwerthebel liegt und sich aus der Detail-Lektüre der ersten drei Cluster eine schärfere Sicht auf den vierten ergibt.
1. Eigenkanal: Onboarding, Login, Wiederidentifizierung
Cluster 1 betrifft den klassischen digitalen Eigenkanal der Bank. Im Mittelpunkt steht das Kundenonboarding. Heute dominieren in Deutschland PostIdent und VideoIdent, in Österreich Verfahren auf Basis von ID Austria, in der Schweiz Video-basierte Verfahren. Künftig wird das Onboarding ein Sekundenvorgang, in dem die nach Geldwäschegesetz (§ 12 GwG in Deutschland) geforderten Identitätsdaten kryptografisch signiert aus der Wallet in das System der Bank übergeben werden. Die Aufbewahrungspflichten aus dem Geldwäschegesetz (in der Regel fünf bis zehn Jahre nach MaRisk) bleiben bestehen, müssen aber für die neuen Datentypen abgebildet werden.
Über die reine Neukundenanlage hinaus erfasst die Pflicht auch alle Stellen, an denen Bestandskundinnen und Bestandskunden re-identifiziert werden. Dazu gehören anlassbezogene KYC-Prüfungen bei höherem Risikoprofil, Wiederholungs-Identifizierungen im Rahmen verstärkter Sorgfaltspflichten, Adressänderungen und der Wechsel des wirtschaftlich Berechtigten. Auch das alltägliche Login im Online- und Mobile-Banking fällt in den Pflichtkreis, sobald es einer starken Kundenauthentifizierung bedarf. SMS-OTP, App-TAN und Push-Verfahren bleiben zulässige Faktoren, die EUDI-Wallet tritt jedoch als gleichwertige Methode hinzu und wird absehbar zur bevorzugten Standardstrecke. Die wirtschaftliche Folge für die Häuser ist erheblich, weil Identitäts- und Authentifizierungsvorgänge der häufigste Kundenkontakt einer Bank sind.
2. Zahlungen und Transaktionen: Karte, Überweisung, Brokerage
Cluster 2 betrifft die Autorisierung konkreter Transaktionen. Dazu zählen Überweisungsfreigaben im E-Banking, Lastschrift-Mandate, Wertpapierorders im Brokerage und vor allem die Online-Kartenzahlung. Das EMV 3-D Secure-Protokoll ist heute der zentrale Mechanismus für SCA im Online-Handel und damit der Punkt, an dem die Wallet-Pflicht aus Artikel 5f am breitesten durchschlägt. EMVCo hat im Juni 2025 ein eigenes Whitepaper zur Verzahnung von EUDI-Wallet und EMV 3DS veröffentlicht. Darin wird unter anderem die neue Variante einer „merchant-captured authentication“ eingeführt, bei der der Händler die Wallet-basierte Authentifizierung direkt in den Checkout integriert und das Ergebnis über das 3DS-Protokoll an den Issuer weitergibt.
Die technische Komplexität dieser Verzahnung wird in vielen Häusern unterschätzt. Die Initiierung der SCA bei Kartenzahlungen erfolgt typischerweise nicht direkt durch die Bank, sondern über einen Access Control Server, der häufig außerhalb der eigentlichen Bank-IT betrieben wird. Das 3DS-Protokoll selbst wird von EMVCo standardisiert, also einem internationalen Konsortium ohne unmittelbaren Einfluss einzelner Banken. Eine Wallet-Anbindung im Kartenzahlungsfluss verlangt damit Anpassungen am Protokoll, am Access Control Server und an der Customer Journey auf Händlerseite. In Verbindung mit dem Volumen der Kartenzahlungen entsteht hier die größte technische und organisatorische Aufgabe der gesamten Wallet-Einführung.
Auch innerhalb des Online-Bankings ist die Autorisierungsstrecke betroffen. Heute laufen Transaktionsfreigaben meist über App-basierte Push-Verfahren oder, bei kleineren Banken, über SMS-TAN. In beiden Fällen verlangt Artikel 5f eine zusätzliche Wallet-Strecke, die zur bestehenden SCA-Infrastruktur kompatibel sein muss. Für Häuser mit eigenem Brokerage-Geschäft gilt das analog für die Autorisierung von Wertpapierorders.
3. Filiale, Telefon und Backoffice: das stille Drittel der Pflicht
Cluster 3 ist in der internen Diskussion vieler Banken noch unsichtbar. Er betrifft Identifizierungs- und Autorisierungsstrecken außerhalb der digitalen Eigenkanäle. Identitätsprüfungen im telefonischen Kundenservice, am Schalter oder im persönlichen Beratungstermin laufen heute meist über Geheimnummer, Sicherheitsfragen oder Ausweisvorlage. Mit der EUDI-Wallet steht für diese Strecken erstmals ein einheitliches, regulatorisch belastbares Identifizierungsmittel zur Verfügung, dessen Akzeptanz nach Artikel 5f verlangt werden kann.
Hinzu kommen Backoffice-Prozesse wie die Identifikation in der Kreditbearbeitung, in der Wertpapierabwicklung oder im Mahnwesen. Diese Strecken sind historisch gewachsen, häufig technisch entkoppelt implementiert und unterscheiden sich nach Mandantenfähigkeit, Kontoinhaberstruktur und Logging-Anforderungen. Eine Wallet-Integration, die nur Onboarding und E-Banking-Login adressiert, übersieht diesen Teil der Pflicht.
4. Vier weniger offensichtliche Strecken mit dem größten Mehrwert
Cluster 4 ist heute in den wenigsten Roadmaps adressiert. In den Programmplänen vieler Banken und Zahlungsdienstleister taucht keiner der vier Use-Cases dieses Clusters auf, obwohl alle vier regulatorisch voll von Artikel 5f erfasst sind und zugleich die größten Mehrwertchancen tragen. Der Aufwand, der dort übersehen wird, ist nicht klein: PISP-Anbindung über die XS2A-API und QES-Integration in die Vertragsstrecke sind regulatorisch obligatorisch und gleichzeitig die Stellen, an denen sich die Identitätsarchitektur des Hauses dauerhaft verschiebt.
Die erste Strecke betrifft die EUDI-Wallet als Payment Initiation Service Provider. Wallet-Anbieter werden im Sinne der PSD2 (künftig PSR) als PISP zugelassen und können damit Zahlungen direkt aus dem Bankkonto des Nutzers anstoßen, ohne klassische Bank-App und ohne Karte. In der Praxis scannt der Kunde im Online-Checkout den QR-Code des Händlers mit seiner EUDI-Wallet, bestätigt Identität und Zahlungsbetrag mit Biometrie und löst über die XS2A-API der Bank eine Konto-zu-Konto-Zahlung aus. Eine vergleichbare Strecke baut Wero im DACH-Raum auf, die EUDI-Wallet-Variante ist europaweit standardisiert und nutzt die Wallet als Identitätsanker. Die Konsequenz für Banken ist, dass ihre Zugangsschnittstelle zum Zahlungskonto, also die bestehende XS2A-API, künftig neben klassischen Drittanbietern auch Wallet-Anbieter als PISP versorgen muss. Tink und das EUDI-Wallet-Konsortium beschreiben diese Variante bereits als reguläre Zahlungsstrecke. Damit ist die Wallet für die Bank zugleich akzeptiertes SCA-Mittel und Initiator von Transaktionen gegenüber dem eigenen Konto, was die Anforderungen an die Open-Banking-Schnittstelle und die Liquiditätsabsicherung verschiebt.
Die zweite Strecke ist die Altersverifikation am Online-Checkout. Ihre Grundlage liegt in Artikel 28 des Digital Services Act, der eine altersgerechte Zugangskontrolle für Online-Plattformen verlangt und parallel zur Akzeptanzpflicht aus eIDAS 2.0 wirkt. Sehr große Online-Plattformen sind verpflichtet, die EUDI-Wallet als Identifizierungsmittel für die Altersprüfung zu akzeptieren, sieben Mitgliedstaaten erproben dazu bereits eine spezifische Age-Verification-App, die in die nationalen Wallets integriert wird. Für PSPs heißt das, dass Händler mit altersbeschränkten Sortimenten (Alkohol, Tabak, Glücksspiel, FSK-Inhalte) künftig Altersnachweise aus der Wallet als Standardbaustein im Checkout erwarten. Die heute oft externe Strecke über Drittanbieter wird damit in die Wallet-basierte selektive Offenlegung („über 18 Jahre“) überführt.
Die dritte Strecke ist der vollständig digitale Vertragsabschluss mit qualifizierter elektronischer Signatur. Verbraucherkreditverträge, Bürgschaften, Versicherungsanträge und andere Verträge mit gesetzlicher Schriftform laufen heute in vielen Häusern über eine getrennte Identifizierungs- und QES-Strecke, typischerweise VideoIdent plus separater Signatur-Service. Die EUDI-Wallet bündelt Identifizierung, KYC-Daten und qualifizierte Signatur in einem Vorgang, was Banken, Versicherer und Bausparkassen zwingt, ihre Antrags- und Vertragsstrecken neu zu strukturieren. Im Verbraucherkreditgeschäft entsteht damit erstmals die Möglichkeit, den gesamten Prozess vom KYC bis zur rechtsverbindlichen Unterschrift ohne Medienbruch innerhalb der Bank-App abzubilden.
Die vierte Strecke ist das KYB-Onboarding über die European Business Wallet. Bitkom und die EU-Kommission diskutieren ab 2026 eine eigene Wallet-Variante für Geschäftskunden, in der Handelsregisterauszug, Vertretungsberechtigungen und wirtschaftlich Berechtigte als verifizierte Nachweise hinterlegt sind. Banken, die Geschäftskunden-Onboarding heute über manuelle Belegprüfung oder externe KYB-Dienstleister abwickeln, erhalten damit ein strukturiertes digitales Format, das in die Standard-KYB-Prozesse einfließen kann und Bearbeitungszeiten dramatisch verkürzt.
Eine vollständige Use-Case-Inventur, die alle vier Cluster abdeckt, ist der erste Schritt einer belastbaren Planung. Darüber hinaus eröffnet die EUDI-Wallet drei strategische Geschäftschancen jenseits der Pflicht: die Issuer-Rolle der Bank für EAA-Nachweise wie Kontoinhaberschaft und Bonität, die IBAN-Tokenisierung im Checkout und der digitale Mitarbeitendenausweis gegen impersonation fraud. Diese drei Chancen vertieft das nächste Kapitel als priorisierte Handlungsempfehlungen
Handlungsempfehlungen für die kommenden 18 Monaten
Aus den vorigen Abschnitten ergeben sich für Finanzdienstleistungsanbieter drei konkrete Handlungsempfehlungen für die verbleibende Zeit bis zur Akzeptanzpflicht am 24. Dezember 2027. Zur Selbstverortung bietet sich vorab folgende grobe Reifegrad-Stufung an:
| Stufe | Kriterien für ein Haus auf dieser Stufe |
|---|---|
| Awareness | Die EUDI-Wallet ist als regulatorisches Thema benannt, ein verantwortlicher Owner ist gesetzt, eine erste Use-Case-Liste existiert. |
| PoC | Mindestens ein Use-Case läuft in der Sandbox, ein OID4VP-Verifier ist an das bestehende IAM oder CIAM angebunden, die Latenz- und Fehlerquoten sind gemessen. |
| Pilot | Mindestens ein Use-Case läuft mit echten Nutzerinnen und Nutzern, die Registrierung als Wallet Relying Party ist beantragt, der End-to-End-Test über mindestens zwei Cluster ist abgeschlossen. |
| Produktivbetrieb | Mindestens drei der vier Cluster sind in Produktion, Notfall-, Logging- und Aufbewahrungsstrecken sind regulatorisch abgenommen, die Wallet ist im IAM-Zielbild verankert. |
Stand Frühjahr 2026 bewegen sich die meisten Häuser in DACH zwischen Awareness und einem frühen PoC. Für einen geordneten Produktivbetrieb 2027 ist die nächste Stufe in den kommenden Wochen zu adressieren.
1. Eine bereichsübergreifende Taskforce einrichten
In den meisten Häusern liegt die EUDI-Wallet im Frühjahr 2026 bei IAM oder Information Security. Compliance, Geldwäscheprävention, Zahlungsverkehr und Vertrieb haben kein eigenes Mandat zur Wallet, obwohl die vier Use-Case-Cluster quer durch alle vier Disziplinen schneiden. Genau hier entsteht die strukturelle Lücke, an die der folgende Schritt anknüpft.
Die EUDI-Wallet wirkt gleichermaßen auf Compliance, Geldwäscheprävention, Zahlungsverkehr, Vertrieb und Kundenservice und verlangt deshalb eine bereichsübergreifende Steuerung. Empfehlenswert ist die Einrichtung einer zentralen Taskforce mit Vertretern aus IT, den betroffenen Fachbereichen, Compliance, Geldwäscheprävention, Zahlungsverkehr und Vertrieb. Eine fragmentierte Umsetzung erzeugt Inkonsistenzen, Mehrarbeit und Lücken in der Use-Case-Abdeckung.
Erste Aufgabe der Taskforce ist eine vollständige fachliche Erhebung aller Authentifizierungs- und Identifizierungs-Use-Cases im Haus, wie sie in den vier Use-Case-Clustern des vorigen Kapitels angerissen sind. Auf dieser Grundlage lassen sich Abhängigkeiten, Synergien und Priorisierungen erkennen. Die eigentliche Implementierung kann anschließend dezentral in den jeweiligen Tribes oder Domänenstrukturen erfolgen, solange die zentrale Steuerung End-to-End-Tests, regulatorische Abstimmung und konsistente Nutzererlebnisse sicherstellt.
Eine zweite Aufgabe der Taskforce besteht darin, das Haus in den laufenden Arbeitsgruppen sichtbar zu machen. Auf europäischer Ebene betrifft das insbesondere EMVCo (für die 3DS-Integration), die EU-Wallet-Konsortien (EWC, NOBID, POTENTIAL) und die deutsche Sandbox-Community rund um SPRIND. Finanzdienstleistungsanbieter, die hier mitarbeiten, beeinflussen die noch nicht vollständig festgelegten technischen Standards in ihrem Sinne und gewinnen einen Informationsvorsprung.
Für Häuser in der Sparkassen-Finanzgruppe und in der genossenschaftlichen Finanzgruppe kommt eine dritte Ebene hinzu. Verbund-Strukturen verteilen Entscheidungen zwischen Zentralinstituten, Rechenzentralen (Finanz Informatik, atruvia) und Primärbanken. Eine Wallet-Strategie, die nur auf der Ebene eines einzelnen Hauses gedacht wird, ignoriert die Tatsache, dass zentrale Funktionen wie das EBL-Login, die OSPlus- oder agree21-Banking-Plattform und die Card-Issuing-Prozesse zentralisiert sind. Sinnvoll ist daher, die hauseigene Taskforce frühzeitig mit dem jeweiligen Verbund-Programm zu verzahnen und die eigenen Use-Cases bewusst entlang der Schnittstelle Primärbank / Rechenzentrale zu schneiden. Vergleichbares gilt im österreichischen Raiffeisensektor und in der Schweiz für den Raiffeisen- und PostFinance-Verbund.
2. Die Sandbox liefert belastbare Zahlen vor 2027
Die SPRIND-Sandbox ist seit Anfang 2026 öffentlich zugänglich und seit Frühjahr 2026 auch um die Ausgabe und Verifikation von Electronic Attestations of Attributes erweitert. Sie ermöglicht es Finanzdienstleistungsanbietern, einen ersten lauffähigen Proof of Concept aufzusetzen, ohne auf den nationalen Wallet-Start im Januar 2027 zu warten. Vergleichbare Testumgebungen existieren in Österreich rund um ID Austria und in der Schweiz rund um swiyu, sowie als reine Referenzimplementierung in den EU-weiten Repositories der Kommission.
Ein Sandbox-Proof of Concept liefert mindestens vier nutzbare Erkenntnisse. Erstens zeigt er den realen Aufwand für die Anbindung eines OID4VP-Verifiers an das bestehende IAM oder CIAM. Zweitens macht er Schwachstellen und Annahmefehler in der Use-Case-Definition sichtbar. Drittens erlaubt er belastbare interne Zahlen zu Latenz, Fehlerquote und Nutzerführung, die die Planung für 2027 verbessern. Viertens schafft er gegenüber Vorstand, Aufsicht und Wirtschaftsprüfern eine glaubwürdige Grundlage dafür, dass das Haus die Wallet aktiv adressiert.
Für die spätere produktive Anbindung ist die Registrierung als Wallet Relying Party im nationalen Register erforderlich. Erst nach erfolgreicher Registrierung erhält das Haus die Wallet-Relying-Party Access Certificates (RPAC) und Registration Certificates (RPRC), die die Wallet bei jeder Anfrage verifiziert. Da die nationalen Registrierungsprozesse Stand Mai 2026 in Deutschland noch nicht final operationalisiert sind, ist eine frühzeitige fachliche und juristische Vorbereitung sinnvoll, damit die Antragstellung mit dem produktiven Wallet-Start zusammenfällt.
Drei Muster gefährden die Umsetzung erfahrungsgemäß besonders. Erstens bleibt die Wallet im IT- oder Security-Silo; Compliance, Geldwäsche, Zahlungsverkehr und Vertrieb sind nicht eingebunden, und die Use-Case-Inventur reduziert sich auf den digitalen Eigenkanal. Zweitens adressiert die Roadmap nur das Onboarding; Cluster 4 mit PISP, DSA-Altersverifikation, QES-Vertragsabschluss, KYB-Onboarding und Mitarbeitendenausweis fehlt im Backlog, obwohl er regulatorisch voll erfasst ist und den größten Mehrwerthebel trägt. Drittens läuft die Sandbox als reine Spielwiese ohne Use-Case-Bindung; der PoC erzeugt keine belastbaren Latenz-, Fehlerquoten- oder Customer-Journey-Daten und bleibt damit folgenlos. Wer diese drei Muster vermeidet, hat das Programm bereits in der zweiten Reifegrad-Stufe stabilisiert.
3. Geschäftschancen über die Pflicht hinaus erschließen
Die Akzeptanzpflicht aus Artikel 5f ist die Pflicht. Sie deckt aber nur einen Teil dessen ab, was die Wallet im Geschäftsmodell eines Finanzdienstleistungsanbieters verändert. Wer den eigenen Mehrwert formulieren will, sollte sich auf die drei Geschäftschancen konzentrieren, die wirtschaftlich tragfähig für 2027 sind. Sie sind so geschnitten, dass sie sich aus der ohnehin notwendigen Pflicht-Umsetzung heraus realisieren lassen. Abbildung 3 zeigt die drei Chancen mit den jeweiligen Akteuren und Datenflüssen im Überblick.
Geschäftschance 1: Bank als EAA-Issuer für Kontonachweis und Bonität
Banken können selbst zu Issuern von verifizierten Nachweisen werden, etwa für Kontoinhaberschaftsnachweise und Bonitätsattestate. Ein Stromversorger oder Mobilfunkanbieter benötigt heute für die Einrichtung eines SEPA-Lastschriftmandats die vollständige Bankverbindung des Kunden. Mit der EUDI-Wallet liefert die Hausbank einen signierten Nachweis, der bestätigt, dass das Konto existiert und der Kontoinhaber mit dem Antragsteller identisch ist. Im Bonitätsgeschäft wirkt die Verschiebung noch grundsätzlicher. Aus dem heutigen Drei-Parteien-Modell, in dem die Bank an die Schufa meldet und die Schufa die Gläubigeranfrage beantwortet, wird ein Zwei-Parteien-Modell. Die Hausbank stellt das Bonitätsattestat direkt in die Wallet ihres Kunden, und der Gläubiger im Verbraucherkredit, in der Mietkaution oder im Mobilfunkvertrag verifiziert es dort. Damit ersetzt die Bank die Auskunftei als Vertrauensvermittler in einem Bestandsmarkt. Die Geschäftschance ist deshalb attraktiv, weil sie auf der Infrastruktur aufsetzt, die für die Pflicht ohnehin entsteht (Wallet-Relying-Party-Registrierung, OID4VCI/OID4VP-Stack), und weil sie die Bank nicht nur in einen Markt einbringt, sondern dessen Struktur verändert.
Geschäftschance 2: IBAN-Tokenisierung als Datensparsamkeits-Argument
Statt die vollständige Kontonummer im Checkout an Händler oder Acquirer zu übergeben, gibt die Wallet einen kurzlebigen Konto-Token weiter, den die emittierende Bank im Hintergrund gegen die echte IBAN auflöst. Das reduziert die Datenpreisgabe gegenüber Dritten, schafft eine messbare Differenzierung im Wettbewerb der Zahlungsstrecken und positioniert die Bank als Trust Anchor in der entstehenden Wallet-Ökonomie. Diese Geschäftschance ist deshalb attraktiv, weil sie die Bank im Kartenzahlungs- und Account-to-Account-Flow näher an den Kunden bindet und zugleich Acquirer-seitige Datensparsamkeitsforderungen aus AML- und DSGVO-Diskussionen vorwegnimmt.
Geschäftschance 3: Mitarbeitendenausweis gegen impersonation fraud
Die Vishing-Welle der letzten Jahre hat in DACH zu erheblichen direkten Schäden und zu deutlich verschärften Haftungsregeln im PSR-Entwurf geführt. Ein digitaler Mitarbeitendenausweis im Telefon-Service- und Beratungskontakt verifiziert in Echtzeit, dass der Anrufer tatsächlich Bankmitarbeiter ist, und der Kunde sieht das in der Mobile-Banking-App seines Hauses. Diese Geschäftschance ist deshalb attraktiv, weil sie direkt auf eine bestehende, betragsmäßig messbare Schadensgröße einzahlt, Haftungsklarheit in den AGB schafft und gleichzeitig ein Vertrauensargument im Wettbewerb um Bestandskunden liefert.
Weitere Hebel wie KYB-Onboarding über die European Business Wallet, frühe Integration in eine spätere App für den digitalen Euro oder Issuer-Rollen für andere Kundenattribute sind regulatorisch und technisch ebenfalls offen, lassen sich aus heutiger Sicht aber realistisch erst nach 2027 belastbar realisieren und gehören in eine zweite Welle.
Über alle Anwendungsfälle hinweg gilt, dass die Wallet die operative Identitätsarchitektur eines Finanzdienstleistungsanbieters modernisiert. Sie zwingt die Häuser zu einer Bestandsaufnahme der eigenen Authentifizierungs- und Identifizierungsstrecken, sie verlangt eine konsolidierte Sicht auf Identitätsdaten und sie schafft die Grundlage für eine einheitliche, regulatorisch belastbare Kundenidentitätsbasis. Die Mindestlatte liegt damit bei Compliance. Eine Einordnung der Wallet als Plattform für die eigene Identitätsarchitektur bringt darüber hinaus Effizienz im Onboarding, ein konsistenteres Nutzererlebnis und eine schärfere Risikoposition.
Fazit
Die EUDI-Wallet ist Bestandteil der europäischen digitalen Infrastruktur und für Finanzdienstleistungsanbieter ab dem 24. Dezember 2027 Pflichtprogramm. Gleichzeitig werden mit AMLR und PSD3/PSR zwei weitere große Regulierungen anwendbar, die auf Identifizierung und starke Kundenauthentifizierung wirken. Die Frist liegt aus heutiger Sicht etwa 18 Monate in der Zukunft. Wer EUDI nur als Onboarding-Thema behandelt, übersieht die vier Strecken in Cluster 4 (PISP, DSA-Altersverifikation, QES-Vertragsabschluss und KYB-Onboarding) und damit den Teil der Pflicht, der die größten Mehrwerthebel trägt. Eine zentral koordinierte Bestandsaufnahme aller Identifizierungs- und Authentifizierungs-Use-Cases verschafft jetzt die Grundlage für eine geordnete Umsetzung und reduziert das Risiko reaktiver Compliance unter Zeitdruck.Mit einer im Herbst 2026 eingerichteten Taskforce, einer abgeschlossenen Use-Case-Inventur und einem laufenden Sandbox-Proof of Concept gelingt 2027 ein geordneter Produktivbetrieb. Wer zusätzlich die drei strategischen Geschäftschancen umsetzt (EAA-Issuer-Rolle, IBAN-Tokenisierung und digitaler Mitarbeitendenausweis), bringt die Pflichtinvestition zugleich in eine eigene strategische Position. Die Entscheidung dafür fällt in den kommenden Wochen.
Quellenverzeichnis
- Amaranth Advisory. EUDI Wallet – Regulatorischer Zwang und strategische Chance für Banken. 2026. https://www.amaranth-advisory.com/de/publications/eudi-wallet
- Baker McKenzie. European Union: EUDI Wallet Harmonizes Identification and Age-Gating. 2026. https://www.bakermckenzie.com/en/insight/publications/2026/03/european-union-eudi-wallet-harmonizes-identification-and-age-gating
- Bitkom. Bitkom zur European Business Wallet. Positionspapier, 2026. https://www.bitkom.org/Bitkom/Publikationen/Bitkom-zur-European-Business-Wallet
- Bitkom. Die EUDI-Wallet ist in der Bevölkerung noch weitgehend unbekannt. Pressemitteilung, 13. April 2026. https://www.bitkom.org/Presse/Presseinformation/EUDI-Wallet-weitgehend-unbekannt
- Bitkom. Memorandum of Understanding zur erfolgreichen Einführung der EUDI-Wallet. 2025. https://www.bitkom.org/MoU-EUDI-Wallet
- Bundesagentur für Sprunginnovationen (SPRIND). EUDI Wallet Prototypes. 2025. https://www.sprind.org/de/artikel/eudi-wallet-prototypes/
- Bundesamt für Justiz Schweiz. Die elektronische Identität (e-ID). 2026. https://www.eid.admin.ch/de/e-id
- Bundesministerium für Digitales und Staatsmodernisierung (BMDS). Entwurf eines Gesetzes über die Europäische Brieftasche für die Digitale Identität (DIdG-Referentenentwurf). 26. März 2026. https://bmds.bund.de/service/gesetzgebungsverfahren/digitale-identitaetengesetz-didg
- Bundesministerium für Digitales und Staatsmodernisierung (BMDS). EUDI-Wallet (Themenseite). 2026. https://bmds.bund.de/themen/digitaler-staat/digitale-identitaeten/eudi-wallet
- Bundesministerium für Finanzen Österreich. Tursky: Österreich startklar für EU-Wallet dank ID-Austria. März 2024. https://www.bmf.gv.at/presse/pressemeldungen/2024/maerz/eu-wallet.html
- Bundesnetzagentur. Am 20. Mai 2024 ist die überarbeitete Fassung der eIDAS-Verordnung in Kraft getreten. 20. Mai 2024. https://www.elektronische-vertrauensdienste.de/EVD/DE/Aktuelles/Meldungen/eIDAS2_in_Kraft.html
- Bundesnotarkammer. Das EUDI-Wallet — Ein weiterer Schritt in Richtung digitale Transformation des Kontinents. 2025. https://www.bnotk.de/aufgaben-und-taetigkeiten/zeitschriften/bnotk-international/details/das-eudi-wallet-ein-weiterer-schritt-in-richtung-digitale-transformation-des-kontinents
- Bundesverband Öffentlicher Banken Deutschlands (VÖB). Digitale Identitäten und Vertrauensdienste. Positionen, 2025. https://www.voeb.de/unsere-positionen/digitale-identitaeten
- EMVCo. Use of the EUDI Wallet in EMV® 3-D Secure Payment Authentication. Whitepaper, 17. Juni 2025. https://www.emvco.com/knowledge-hub/use-of-the-eudi-wallet-in-emv-3-d-secure-payment-authentication/
- EU Digital Identity Wallet. Age Verification Technical Specification. GitHub, 2026. https://github.com/eu-digital-identity-wallet/av-doc-technical-specification
- EU Digital Identity Wallet. Architecture and Reference Framework (ARF). 2026. https://eudi.dev/latest/architecture-and-reference-framework-main/
- EU Digital Identity Wallet. Reference Implementations and Technical Specifications. GitHub, 2026. https://github.com/eu-digital-identity-wallet
- EU Digital Identity Wallet Consortium (EWC). 2026. https://eudiwalletconsortium.org/
- EU Digital Identity Wallet Consortium. Technical Specification TS12 zur SCA-Implementierung mit der Wallet. GitHub, 2026. https://github.com/eu-digital-identity-wallet/eudi-doc-standards-and-technical-specifications/blob/main/docs/technical-specifications/ts12-electronic-payments-SCA-implementation-with-wallet.md
- Europäische Kommission. Implementing Regulation for European Digital Identity Wallets. 4. Dezember 2024. https://digital-strategy.ec.europa.eu/en/library/implementing-regulation-european-digital-identity-wallets
- Europäische Kommission. Large Scale Pilot Projects. 2026. https://ec.europa.eu/digital-building-blocks/sites/spaces/EUDIGITALIDENTITYWALLET/pages/694487808/What+are+the+Large+Scale+Pilot+Projects
- Europäische Kommission. The Age Verification Manual – EUDI Wallet. 2026. https://ec.europa.eu/digital-building-blocks/sites/spaces/EUDIGITALIDENTITYWALLET/pages/930450954/The+Age+Verification+Manual
- Europäisches Parlament und Rat. Verordnung (EU) 2024/1183 zur Änderung der Verordnung (EU) Nr. 910/2014 im Hinblick auf die Schaffung eines europäischen Rahmens für eine digitale Identität (eIDAS 2.0). 11. April 2024. https://www.european-digital-identity-regulation.com/Article_5a_(Regulation_EU_2024_1183).html
- NOBID Consortium. 2026. https://www.nobidconsortium.com/
- PayTechLaw (Annerton Rechtsanwälte). EUDI Wallet in the Draft Digital Identity Act (DIdG): Overview and Assessment from a Financial Sector Perspective. 14. April 2026. https://paytechlaw.com/en/eudi-wallet-in-the-draft-digital-identity-act/
- Schweizerische Eidgenossenschaft. Volksabstimmung vom 28. September 2025. 2025. https://www.admin.ch/gov/de/start/dokumentation/abstimmungen/20250928.html
- SRF. Abstimmung 28. September: E-ID-Vorlage in trockenen Tüchern. September 2025. https://www.srf.ch/news/schweiz/abstimmung-28-september-nach-abstimmungskrimi-e-id-vorlage-in-trockenen-tuechern
- Tink. From authentication to authorisation: Navigating the changes with eIDAS 2.0. 2025. https://tink.com/blog/open-banking/eidas-eu-digital-identity-wallet/
Autor
